物理安全
1)建筑具备防震、防风和防雨能力。机房无外窗，机房屋顶、墙体和地面无明显渗水痕迹，无尘土、破损及开裂。机房和办公场地的环境条件能够满足信息系统业务需求和安全管理需求。
2)机房出入口设置电子门禁系统，能够控制、鉴别和记录进入的人员，并设置专人值守，进入机房需在访客登记系统进行身份认证及登记，登记内容包括：姓名、身份证号、手机号、进入时间、离开时间等信息。
3)机房内环境卫生整洁，线缆布放有序，强弱电线缆布放分开。主要设备和网络线缆上设置明显的且不易除去的标识。
4）机房内设备均固定在机架上，机柜固定在地面上。机房内通信线缆部署在机柜上方桥架中，电源线缆等部署在地板下。
5)机房内安装LPS 雷电防护装置，并提供防雷装置检测报告。
6)机房内部署精密空调对温湿度进行控制，防止水蒸气结露，机房地下设置防水坝，防止地下积水转移。
7)机房地面采用防静电地板铺设，各机柜及主要设备设置接地防静电措施。机房内配备防静电手环，运维人员现场运维时，需携带并佩戴防静电手环进行相关操作，以有效消除静电。
8)机房内安装视频监控。
9)机房内部署烟感报警，可以实现自动检测火情、自动报警、自动消防系统能够实现自动灭火。机房具有验收文档及建筑材料检验报告，耐火等级为A 级，具有《建筑消防设施检测报告》。
10)机房的供电线路上部署抗瞬态浪涌抑制器及电源避雷器；且运行正常。机房配备UPS 供电室，使用UPS 电源系统进行供电，满足设备在断电情况下运行15 分钟。
安全通信网络
1.与实际情况相符的网络拓扑图
2.网络结构划分区域：
通过核心交换机划分不同VLAN，分配不同的网段；重要网络区域部署在网络边界处，并通过核心防火墙与内网防火墙设置详细的访问控制策略实现网络边界及各区域间的安全隔离。
边界防护区：WAF、边界防火墙。
业务服务区：业务服务器，业务系统的支撑区域，共包含X台应用服务器，X台数据库服务器用于数据接入、查询和存储。
安全管理区：通过部署杀毒、堡垒机、日志分析平台实现对病毒的查杀、系统日常的运行维护和日志分析。
运维管理区：运维人员通过SSLVPN和堡垒机远程访问服务器。对系统进行日常的运行维护，实现对系统安全和虚拟服务器的远程管理。通过zabbix监控系统实时监控服务器区和网络、安全设备的运行情况，并及时发送事件告警。
3.网络设备、安全设备、主机操作系统分别采用加密的RDP 协议、SSH 协议或HTTPS 协议进行远程管理，XX系统采用HTTPS 协议进行数据通信，保证数据在通信过程中的完整性。
安全区域边界
1.边界防护区与核心交换区分别部署核心防火墙与内网防火墙，设置详细的访问控制策略，仅放行业务所需端口访问业务系统，每条访问控制规则均有明确的源IP 地址、目的IP 地址和协议及端口等，并设置默认全拒绝策略。
2.核心防火墙具备根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；
3.核心防火墙具有入侵防御功能和防病毒功能，可对攻击行为进行检测、报警、阻断，能够对恶意代码进行检测和清除， 并开启自动更新规则库和恶意代码库策略；
4.核心防火墙的漏洞攻击特征识别库、应用识别库、WEB应用防护库等均已更新至最新版本。规则库版本已更新到最新版本。
5.网络内所有网络设备、安全设备均已开启日志审计功能。网络内已部署日志分析平台对网络安全设备日志进行统一收集、存储，日志保留周期满足180 天。
安全计算环境
1.交换机采用用户名+密码对用户身份进行标识和鉴别，设置密码复杂度策略、密码有效期策略、登录失败处理功能与登录连接超时自动退出功能；
2.交换机仅允许采用SSH 协议进行数据传输，防止鉴别信息在网络传输过程中被窃听，并且能够保证数据在传输过程中的完整性。
3.交换机根据管理需求创建系统管理员、审计管理员与安全管理员账户，并根据工作职责对不同管理账户划分相应权限。交换机严格限制默认超级管理员账户的管理权限，并重命名系统默认账户。
4.交换机开启日志审计，审计日志覆盖到所有用户，能够对用户操作行为（配置操作、用户创建、权限分配等）和重要事件进行记录，日志实时发送至日志分析平台，日志保存周期满足180 天，
能够对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。
5对安全审计记录保存时间进行合理设置，并定期对审计记录进行备份，使备份文件存储时间不少于六个月，满足《中华人民共和国网络安全法》第二十一条的相关要求。
6.网络设备定期每年进行漏洞扫描，经过充分测试评估后，及时修复高风险漏洞。
7.定期进行设备配置备份。
8.定期对备份文件进行恢复测试。利用通信网络将关键数据定时传送至30KM 以上备用场地。
9.审计日志定期每日增量备份到备份平台，在备份平台保存一个月，每月全量备份至磁带柜，永久保存。
安全设备
1.安全设备(堡垒机、核心防火墙、内网防火墙、日志分析平台、杀毒平台、备份平台）均采用用户名+密码进行用户身份验证，均已启用密码复杂度策略，安全设备均已开启密码有效期策略、登录失败处理功能与登录连接超时自动退出功能；
安全设备均采用HTTPS 协议进行远程管理，能够防止鉴别信息在网络传输过程中被窃听，并能够保证数据在传输过程中的完整性。
2.所有安全设备开启日志审计；审计日志覆盖到所有用户，能够对用户操作行为（配置操作、用户创建、权限分配等）和重要事件进行记录，并且通过Syslog 设置系统日志实时外发至日志分析平台，日志保存周期满足180 天，
能够对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。
3.1）服务器、终端均采用用户名+密码的登录方式对用户身份进行身份鉴别；设置密码复杂度策略、密码有效期策略、登录失败处理功能与登录连接超时自动退出功能；
2）服务器采用HTTPS 或SSH 协议进行远程管理，能够防止鉴别信息在网络传输过程中被窃听，能够保证数据在传输过程的完整性。服务器与终端均已开启日志审计功能，能够对所有用户的操作行为进行审计，日志保留周期满足180 天；
3）服务器与终端安装遵循最小化安装原则，仅安装了系统所需的组件和应用程序，不存在与业务系统无关的组件和应用程序；服务器与终端操作系统均已关闭不必要的端口、默认共享及不必要的系统服务；
4）系统管理员定期每年对服务器进行漏洞扫描和渗透测试，并根据漏扫、渗透结果及时修补高风险漏洞。
5）终端均已安装杀毒平台客户端，能够检测到主机入侵行为和恶意代码攻击行为，并拦截恶意入侵行为；
6）应用服务器及数据库服务器定期每天进行增量备份，备份文件保存至备份平台，保存周期为一个月，定期每月进行全量备份，备份文件保存至磁带柜，永久保存。
安全运维管理
1.XXX公司指定XXX部负责机房安全，对机房进出、基础设施等进行定期维护，提供《机房登记记录》。制定《XXX公司安全管理规定》、《XXX信息资产与设备管理制度》等相关制度
对办公环境管理、资产标识和等级分类管理、设备和介质管理等提出了要求，并编制了资产清单。XXX每年定期进行漏洞扫描工作，提供相应报告，并对发现漏洞进行修补。
被测单位具有《XXX信息系统用户账号管理制度》、《XXX信息系统安全风险管理制度》、《XXX计算机信息与数据安全管理制度》等制度覆盖了网络和系统的安全策略、账户管理（创建账户、修改账户权限、删除账户等）、
配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面。为提高所有用户的防恶意代码意识，被测单位制定了《操作安全管理程序》规定对外来计算机或存储设备接入系统前进行恶意代码检查。
同时，被测单位制定《XXX信息系统安全风险管理制度》，明确用户在发现安全弱点和可疑事件时应及时报告，可通过邮件及电话方式告知在发生系统安全弱点和可疑事件时应及时向备案机关进行报告，具有《可疑事件报告记录表》。
安全管理中心
1.设置专职的系统管理员与审计管理员岗位，系统管理员通过堡垒机对服务器、数据库、网络设备、安全设备进行统一运维管理。
2.审计管理员通过堡垒机对服务器审计日志进行审计管理，通过日志分析平台能够对网络内网络设备、安全设备进行集中审计管理， 堡垒机与日志分析平台为系统管理员与审计管理员分配跟个人绑定的管理账户，
系统管理员与审计管理员需通过账户名+密码方式进行用户身份鉴别，堡垒机与日志分析平台对用户的操作行为进行审计。
3.部署数据库审计系统，对部分服务器及数据库的操作行为进行审计分析。
安全管理制度、机构及人员
1.具有《XXX信息安全总体策略》与《XXX信息安全管理体系方针》，制度中明确安全工作的总体目标、范围、原则和策略等内容。并对物理和环境、机构和人员、安全系统建设和安全运维等层面建立安全管理制度。
2.由XXX XXX部负责安全管理制度的制定工作，所有管理制度需通过XXX部通过协同办公平台正式发布，并经过部门负责人审批，所有安全管理制度均具备版本、发布范围等标识。
3.设立XXX部为网络安全管理工作的主管部门，《岗位信息安全职责》中明确安全主管以及安全管理员、审计管理员、系统管理员等岗位，包括各个岗位的职责。 系统变更、重要操作、物理访问、系统接入等事项的审批部门、批准人及审批程序。
4.各类管理人员、组织内部人员和网络安全职能部门之间具备良好的沟通，与网络安全职能部门、供应商、业界专家及安全组织等均有沟通。
5.单位所有资产定期每年巡检，针对部门系统每季度组织一次安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。提供常规安全检查记录。
6..指定人力资源部负责人员录用，具有《人力资源部管理制度》并对人员录用流程和考核内容进行规范，并提供人员录用考核记录。人员离岗后回收其所拥有的物理和逻辑访问权限、相关信息系统的用户账号和口令、
与原岗位有关的工作证件和软硬件设备等。XXX公司应组织内部人员进行安全意识教育和岗位技能培训。建立了《XXX数据中心安全管理规定》，规定外部人员访问重要区域、接入受控网络的申请和审批流程。
7.安全意识培训：应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施
通用安全管理
1.密码控制
1）复杂度：设置口令长度不少于12位，至少由大小写字母、数字和特殊字符中的三种组合。
2）有效期：更换周期进行合理设置（30-90天），不允许新设定的口令与前次旧口令相同。
2.管理员账户权限控制
1）超级管理员：拥有全部权限，一般禁用或严格限制或重命名。
2）系统管理员：账号分配和功能分配
3）安全管理员：口令复杂度设置、访问控制策略配置和登录地址限制等
4）审计管理员：审计日志查看与管理，并限制默认账户的管理权限，以实现管理员的权限分离。
各管理员账户不可多人共享，不存在多余的、过期的账户。
3.访问控制
1）登录源地址限制
2）登录失败5次锁定账户5-10分钟
3）登录连接超时/闲时超时自动退出。
附：等级测评结论判定依据
| 等级测评结论 | 判定依据 |
| 优 |
被测对象中存在安全问题，但不会导致被测对象面临中、高等级安全风险，且综合得分90 分以上（含90 分）。 |
| 良 |
被测对象中存在安全问题，但不会导致被测对象面临高等级安全风险，且综合得分80 分以上（含80 分）。 |
| 中 |
被测对象中存在安全问题，但不会导致被测对象面临高等级安全风险，且综合得分70 分以上（含70 分）。 |
| 差 |
被测对象中存在安全问题，且会导致被测对象面临高等级安全风险，或综合得分低于70 分。 |
